PEŁNA INFORMACJA RODO

Vezpa - Property Management System

Zgodność z Rozporządzeniem UE 2016/679

Ostatnia aktualizacja: 5 listopada 2026

📌 Pierwszeństwo prawne: niniejszy dokument jest grzecznościowym tłumaczeniem włoskiego oryginału. W przypadku rozbieżności między tym tłumaczeniem a wersją włoską, wersja włoska ma pierwszeństwo jako prawnie wiążąca. Włoski oryginał dostępny tutaj: https://vezpa.it/gdpr/.
✅ Podejście RODO: Vezpa stosuje środki techniczne i organizacyjne odpowiednie do zgodności z Rozporządzeniem UE 2016/679. Niniejszy dokument szczegółowo opisuje, w jaki sposób przetwarzamy dane osobowe, jakie środki bezpieczeństwa stosujemy i jak działamy jako Podmiot przetwarzający w imieniu obiektów.

1. Wprowadzenie i zakres zastosowania

Niniejsza informacja opisuje, w jaki sposób Vezpa di Paolo Vezzola (dalej "Vezpa" lub "My") przetwarza dane osobowe zgodnie z:

1.1 Do kogo ma zastosowanie

Niniejsza informacja ma zastosowanie do:

1.2 Podwójna rola Vezpy

Vezpa pełni dwie różne role:

  • ADMINISTRATOR DANYCH W odniesieniu do danych zarządców obiektów (klientów)
  • PODMIOT PRZETWARZAJĄCY W odniesieniu do danych gości (przetwarzamy dane na polecenie zarządcy obiektu)

2. Tożsamość i dane kontaktowe Administratora

Administrator danych:

Vezpa di Paolo Vezzola
Siedziba: Desenzano del Garda (BS), 25015, via San Zeno 67
NIP (P.IVA): 04449070988
Kod podatkowy (C.F.): VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-mail: info@vezpa.it

3. Kategorie przetwarzanych danych osobowych

3.1 Dane zarządców (klientów)

Kategoria Rodzaj danych Obowiązek podania
Dane identyfikacyjne Imię, nazwisko, data urodzenia, kod podatkowy ✅ Obowiązkowe
Dane kontaktowe E-mail, telefon, adres ✅ Obowiązkowe
Dane firmowe Nazwa firmy, NIP, dane obiektu ✅ Obowiązkowe
Dane płatnicze IBAN, karta kredytowa (przez Stripe) ✅ Obowiązkowe dla subskrypcji
Dane użytkowania Logi dostępu, IP, aktywność na platformie ⚙️ Automatyczne
Dane komunikacji E-mail, czat wsparcia, zgłoszenia 📝 Dobrowolne

3.2 Dane gości (jako Podmiot przetwarzający)

Kategoria Rodzaj danych Podstawa prawna (Administratora)
Dane osobowe Imię, nazwisko, data i miejsce urodzenia, obywatelstwo, płeć Obowiązek prawny (włoska ustawa TULPS, art. 109 i równoważne przepisy UE)
Dokument tożsamości Rodzaj, numer, data wydania, organ, obraz zeskanowany lub sfotografowany Obowiązek prawny
Ekstrakcja OCR Dane tekstowe wyodrębnione automatycznie z dokumentu (imię, data, numer) Wykonanie umowy (art. 6 ust. 1 lit. b) — wyłącznie w celu ułatwienia wprowadzania danych przez operatora, bez celów analitycznych, profilowania ani autonomicznego podejmowania decyzji
Dane kontaktowe E-mail, telefon, adres Wykonanie umowy
Dane rezerwacji Daty pobytu, liczba gości, pokój, stawki, wyżywienie Wykonanie umowy
Dane płatnicze Transakcje, pokwitowania (dane karty obsługiwane przez Stripe, nieprzechowywane przez Vezpę) Wykonanie umowy + obowiązek podatkowy
⚠️ Szczególne kategorie danych (art. 9 RODO):

Gromadzone dokumenty tożsamości mogą zawierać elementy kwalifikowane jako dane "szczególnych kategorii" w rozumieniu art. 9 RODO, zazwyczaj:

  • Miejsce urodzenia (z którego można wywnioskować pochodzenie etniczne)
  • Zdjęcie twarzy (nieużywane do zautomatyzowanego rozpoznawania biometrycznego)

Zgodność przetwarzania z prawem: art. 9 ust. 2 lit. b (wypełnianie obowiązków w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej), art. 9 ust. 2 lit. g (ważny interes publiczny - rejestracja dla bezpieczeństwa publicznego) i art. 9 ust. 2 lit. f (ustalanie roszczeń). Cele ograniczone do obowiązków nałożonych przez prawo wobec organów publicznych.

Środki dodatkowe: dostęp ograniczony wyłącznie do upoważnionych ról (dyrektor, asystent), brak profilowania na podstawie takich danych, brak przekazywania osobom trzecim poza organami publicznymi będącymi adresatami.

Vezpa nie zbiera celowo innych danych szczególnych kategorii (poglądy polityczne/religijne, dane zdrowotne, dane genetyczne, orientacja seksualna). Jeśli takie dane zostaną wprowadzone przez pomyłkę przez użytkownika, należy je natychmiast usunąć.

4. Cele i podstawa prawna przetwarzania

4.1 Dla zarządców (klientów)

Cel Podstawa prawna (art. 6 RODO) Przechowywanie
Świadczenie usługi PMS Art. 6 ust. 1 lit. b - Wykonanie umowy Okres trwania umowy + 10 lat
Fakturowanie i księgowość Art. 6 ust. 1 lit. c - Obowiązek prawny 10 lat (obowiązek podatkowy)
Obsługa klienta Art. 6 ust. 1 lit. b - Wykonanie umowy Okres trwania umowy + 2 lata
Bezpieczeństwo i zapobieganie oszustwom (logi aplikacyjne, anomalie) Art. 6 ust. 1 lit. f - Prawnie uzasadniony interes 12 miesięcy standardowo, do 24 miesięcy na potrzeby udokumentowanych, trwających dochodzeń (decyzja włoskiego organu ochrony danych 352/2022)
Ulepszanie usługi Art. 6 ust. 1 lit. f - Prawnie uzasadniony interes 2 lata (anonimowe dane zagregowane)
Marketing bezpośredni Art. 6 ust. 1 lit. a - Zgoda Do wycofania zgody
Obrona praw w postępowaniu sądowym Art. 6 ust. 1 lit. f - Prawnie uzasadniony interes 10 lat

4.2 Dla gości (na polecenie zarządcy)

Cel Podstawa prawna Przechowywanie
Rejestracja gości i komunikacja z Policją Art. 6 ust. 1 lit. c - Obowiązek prawny (włoska ustawa TULPS, art. 109, D.Lgs. 159/2011) Minimum 2 lata
Zgłoszenia do ISTAT Art. 6 ust. 1 lit. c - Obowiązek prawny Zgodnie z przepisami ISTAT
Opłata turystyczna (Paytourist) Art. 6 ust. 1 lit. c - Obowiązek prawny Zgodnie z przepisami gminnymi
Zarządzanie rezerwacją i pobytem Art. 6 ust. 1 lit. b - Wykonanie umowy 10 lat (cele podatkowe)
Zameldowanie online i komunikacja Art. 6 ust. 1 lit. b - Wykonanie umowy Okres pobytu + okres przechowywania przyjęty przez obiekt
📌 Uwaga dotycząca zgody:

Dla wielu działań NIE jest wymagana zgoda, ponieważ opierają się na:

  • ✅ Wykonaniu umowy (to Państwo zlecili usługę)
  • ✅ Obowiązkach prawnych (obowiązkowe zgłoszenia do organów)
  • ✅ Prawnie uzasadnionym interesie (bezpieczeństwo, ulepszanie usługi)

Zgoda jest wymagana WYŁĄCZNIE dla marketingu i profilowania.

5. Sposób przetwarzania

5.1 Zasady przetwarzania (art. 5 RODO)

Vezpa przetwarza dane osobowe z poszanowaniem następujących zasad:

5.2 Środki przetwarzania

Dane są przetwarzane za pomocą narzędzi:

5.3 Sposób dostępu

Dane są dostępne dla:

6. Środki bezpieczeństwa (art. 32 RODO)

6.1 Środki techniczne

✅ Szyfrowanie podczas przesyłania: HTTPS/TLS 1.2+ dla wszystkich połączeń, HSTS
✅ Szyfrowanie danych w spoczynku: konkretne dane wrażliwe szyfrowane przez django-cryptography; woluminy zarządzane i snapshoty szyfrowane po stronie infrastruktury (DigitalOcean)
✅ Haszowanie haseł: PBKDF2 (domyślnie w Django) z losową solą
✅ Tokeny: JWT access token TTL 15 minut, refresh z rotacją i czarną listą, TTL 60 dni
✅ 2FA TOTP dostępne na koncie (django-otp)
✅ Bot blocker i rate limiting: dedykowane middleware blokujące skanery i znane ścieżki ataku
✅ Kopie zapasowe: snapshoty bazy danych zarządzane przez dostawcę infrastruktury, lokalizacja w UE
✅ Kontrola dostępu oparta na rolach (RBAC): dyrektor, asystent, pokojowa, obserwator
✅ Rejestrowanie zdarzeń w aplikacji: śledzenie dostępu, działań krytycznych i anomalii
✅ Aktualizacja zależności: monitorowanie podatności w pakietach Python i Flutter

6.2 Środki organizacyjne

✅ Dostęp administracyjny ograniczony do Administratora (Vezpa jest obecnie jednoosobową działalnością gospodarczą bez pracowników); ewentualni współpracownicy zewnętrzni są wyznaczani na piśmie jako Podmioty przetwarzające lub Osoby upoważnione
✅ Procedura reakcji na incydenty udokumentowana (§9 poniżej)
✅ Privacy by Design and by Default zintegrowane na etapach rozwoju
✅ Rejestr czynności przetwarzania (art. 30 RODO) prowadzony i aktualizowany
✅ DPA podpisane ze wszystkimi głównymi dalszymi podmiotami przetwarzającymi
✅ Publiczna lista dalszych podmiotów przetwarzających aktualizowana na vezpa.it/subprocessors

6.3 Standardy odniesienia

7. Odbiorcy danych (art. 13 ust. 1 lit. e RODO)

7.1 Kategorie odbiorców

Dane mogą być przekazywane następującym kategoriom odbiorców. Imienna lista, zawsze aktualna, jest publikowana na vezpa.it/subprocessors.

Kategoria Odbiorcy Rola Cel
Włoskie organy publiczne AlloggiatiWeb (Questura), ISTAT, gminy (PayTourist), Agenzia delle Entrate Administratorzy samodzielni Obowiązek prawny
Organy publiczne UE Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Administratorzy samodzielni Obowiązek prawny Administratora (obiektu)
Hosting / Storage / CDN DigitalOcean LLC (serwery Frankfurt, Spaces, Redis) Podmiot przetwarzający Infrastruktura IT
Płatności Stripe Payments Europe Ltd / Stripe Inc. Podmiot przetwarzający Przetwarzanie płatności
E-mail IONOS SE (DE) Podmiot przetwarzający Wysyłka e-maili transakcyjnych i PEC
E-mail Sendinblue SAS - Brevo (FR) Podmiot przetwarzający Wysyłka e-maili i odbiór e-maili od gości
Asystent AI Anthropic, PBC (USA) Podmiot przetwarzający Odpowiedzi na wiadomości gości (opcjonalnie)
Wiadomości WhatsApp Meta Platforms Ireland Limited (IE) Podmiot przetwarzający Wiadomości WhatsApp między obiektem a gośćmi (opcjonalnie)
Agent głosowy obsługujący telefon Platforma głosowa wybrana przez obiekt (np. Retell, Vapi, ElevenLabs) Podmiot przetwarzający obiektu, nie Vezpy Odbieranie połączeń w imieniu obiektu: Vezpa przekazuje wyłącznie dane niezbędne do odpowiedzi i otrzymuje wiadomości oraz podsumowania rozmów (opcjonalnie)
Mobilne powiadomienia push Google LLC (Firebase Cloud Messaging) Podmiot przetwarzający Wysyłka powiadomień push do urządzeń mobilnych
Tłumaczenie automatyczne Google LLC (Google Cloud Translation API) Podmiot przetwarzający Tłumaczenie wiadomości gości otrzymanych z kanałów OTA oraz, na żądanie gospodarza, usług dodatkowych
Channel Manager OTA STAAH Limited (Nowa Zelandia) Podmiot przetwarzający Synchronizacja rezerwacji z OTA
Zakupy w aplikacji — Apple Apple Distribution International Ltd (IE) / Apple Inc. (USA) Administrator samodzielny (sklep) Zarządzanie subskrypcjami App Store. Apple nie uczestniczy w DPF: przekazywanie do USA regulowane przez SCC 2021/914
Zakupy w aplikacji — Google / Microsoft Google Ireland Ltd / Google LLC (USA, DPF), Microsoft Ireland / Microsoft Corp. (USA, DPF) Administratorzy samodzielni (sklepy) Zarządzanie subskrypcjami Play Store / Microsoft Store
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda i ~60 innych kanałów Administratorzy samodzielni Zarządzanie rezerwacjami na rzecz podróżnego
Inteligentne zamki (opcjonalnie) Tuya Smart (CN) Podmiot przetwarzający Zarządzanie dostępem domotycznym, wyłącznie gdy aktywowane przez obiekt
Specjaliści Księgowi, adwokaci, doradcy IT Podmioty przetwarzające / Administratorzy samodzielni Konsultacje specjalistyczne, wyłącznie gdy są konieczne

7.2 Lista dalszych podmiotów przetwarzających (art. 28 ust. 4 RODO)

Aktualna lista jest publikowana i zawsze dostępna na vezpa.it/subprocessors. Ewentualne zmiany (nowe dalsze podmioty przetwarzające, zastąpienia) są komunikowane Administratorom (obiektom) z wyprzedzeniem co najmniej 30 dni, aby umożliwić sprzeciw (art. 28 ust. 2 RODO).

7.3 Przekazywanie poza UE

Podstawa prawna przekazywania (Rozdział V RODO):
  • USA — EU-U.S. Data Privacy Framework (Decyzja (UE) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — aktywne certyfikacje DPF (weryfikacja na dataprivacyframework.gov/list (otwiera się w nowej karcie))
  • USA — Standardowe klauzule umowne (SCC 2021/914): Apple Inc. nie uczestniczy w DPF; relacja umowna dla użytkowników UE jest z Apple Distribution International Ltd (Irlandia), a ewentualne przekazywanie wewnątrz grupy Apple do USA jest regulowane przez SCC i wewnętrzne mechanizmy adekwatności
  • Nowa Zelandia — Decyzja o adekwatności (Decyzja 2013/65/UE): STAAH Limited
  • Chiny (opcjonalnie): Tuya Smart — Standardowe klauzule umowne (SCC) 2021/914 + środki uzupełniające (minimalizacja i pseudonimizacja). Przekazywanie realizowane wyłącznie dla obiektów aktywujących inteligentne zamki.

Dla każdego dalszego podmiotu przetwarzającego poza UE udokumentowany jest odpowiedni mechanizm przekazywania. SCC i ewentualne Transfer Impact Assessment są dostępne dla Administratora na żądanie.

8. Prawa osoby, której dane dotyczą (art. 15-22 RODO)

8.1 Przysługujące prawa

Prawo Art. RODO Opis
Dostęp Art. 15 Uzyskanie potwierdzenia istnienia Państwa danych i otrzymanie ich kopii
Sprostowanie Art. 16 Poprawienie nieprawidłowych danych lub ich uzupełnienie
Usunięcie ("zapomnienie") Art. 17 Uzyskanie usunięcia danych (z wyjątkami dla obowiązków prawnych)
Ograniczenie Art. 18 Ograniczenie przetwarzania w określonych warunkach
Przenoszenie Art. 20 Otrzymanie danych w ustrukturyzowanym formacie (CSV, JSON) i przeniesienie do innego administratora
Sprzeciw Art. 21 Sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie
Wycofanie zgody Art. 7 ust. 3 Wycofanie zgody na marketing w każdej chwili
Skarga Art. 77 Wniesienie skargi do organu ochrony danych
Brak zautomatyzowanego profilowania Art. 22 Prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu

8.2 Jak wykonywać prawa

Mogą Państwo wykonać swoje prawa poprzez:

8.3 Terminy odpowiedzi

Vezpa odpowiada na wnioski w ciągu 30 dni od otrzymania (termin można przedłużyć o kolejne 60 dni w złożonych przypadkach, z uzasadnionym powiadomieniem).

8.4 Ograniczenia praw

Niektóre prawa (usunięcie, ograniczenie) mogą nie być wykonalne, gdy:

9. Naruszenia ochrony danych i powiadomienia (art. 33-34 RODO)

9.1 Procedura w przypadku naruszenia ochrony danych

W przypadku naruszenia ochrony danych osobowych (data breach) Vezpa:

  1. 📊 Ocenia incydent w ciągu 24 godzin od wykrycia
  2. 📢 Powiadamia organ ochrony danych w ciągu 72 godzin (jeśli istnieje ryzyko dla praw osób, których dane dotyczą)
  3. 📧 Zawiadamia osoby, których dane dotyczą, bez nieuzasadnionej zwłoki (jeśli występuje wysokie ryzyko)
  4. 📝 Dokumentuje incydent w rejestrze naruszeń
  5. 🔧 Wprowadza środki naprawcze, aby zapobiec przyszłym naruszeniom

9.2 Przejrzystość

W przypadku naruszenia ochrony danych dotyczącego Państwa otrzymają Państwo zawiadomienie zawierające:

10. Ocena skutków dla ochrony danych (DPIA)

Vezpa rozpoczęła Ocenę skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO, mając na uwadze systematyczne przetwarzanie dokumentów tożsamości osób z wielu państw UE oraz przekazywanie do dalszych podmiotów przetwarzających poza UE.

Zakres DPIA:

DPIA i ewentualne dodatkowe środki łagodzące są okresowo aktualizowane. W przypadku wysokiego ryzyka szczątkowego Vezpa przeprowadzi uprzednie konsultacje z organem ochrony danych zgodnie z art. 36 RODO. Administrator (obiekt) może zażądać streszczenia DPIA, pisząc na info@vezpa.it.

11. Podmiot przetwarzający (art. 28 RODO)

11.1 Umowy z klientami (dla danych gości)

Gdy zarządca obiektu korzysta z Vezpy do przetwarzania danych gości:

11.2 Zawartość DPA

Umowa powierzenia przetwarzania danych zawiera, zgodnie z art. 28 ust. 3 RODO:

DPA jest integralną częścią Regulaminu i jest akceptowana przy rejestracji obiektu.

12. Privacy by Design i by Default (art. 25 RODO)

12.1 Privacy by Design

Vezpa integruje ochronę danych już na etapie projektowania:

12.2 Privacy by Default

Ustawienia domyślne maksymalizują prywatność:

13. Rejestr czynności przetwarzania (art. 30 RODO)

Vezpa prowadzi kompletny rejestr wszystkich czynności przetwarzania, zawierający:

Rejestr jest dostępny na żądanie organu ochrony danych.

14. Zmiany w niniejszej informacji

Niniejsza informacja może być zmieniana z powodu:

Istotne zmiany będą komunikowane e-mailem z co najmniej 30-dniowym wyprzedzeniem.

Data ostatniej aktualizacji jest zawsze wskazana na górze dokumentu.

📞 Kontakt w sprawie prywatności i RODO

Biuro prywatności:
📧 E-mail: info@vezpa.it
📧 PEC: lavezpa@pec.it
📮 Adres: Desenzano del Garda, via San Zeno 67

Włoski organ ochrony danych (Garante per la Protezione dei Dati Personali):
Piazza Venezia, 11 - 00187 Roma
📧 E-mail: garante@gpdp.it
📧 PEC: protocollo@pec.gpdp.it
📞 Tel: +39 06.696771
🌐 Web: www.garanteprivacy.it (otwiera się w nowej karcie)

Użytkownicy w Polsce mogą również zwrócić się do Prezesa Urzędu Ochrony Danych Osobowych - UODO (www.uodo.gov.pl (otwiera się w nowej karcie)).